Accord de traitement des données
Version du 24 septembre 2026 · Annexe aux CGU
Le présent accord (l'« Accord ») encadre, conformément à l'article 28 du règlement (UE) 2016/679 (« RGPD »), le traitement des données personnelles des clients du Marchand effectué par NB Web (le « Sous-traitant ») pour le compte du Marchand (le « Responsable du traitement ») dans le cadre de l'application Fizko. Il est accepté en même temps que les CGU.
1. Description du traitement
| Finalité | Produire et transmettre l'e-reporting de la boutique à l'administration fiscale via la plateforme agréée choisie par le Marchand ; afficher l'état des transmissions. |
|---|---|
| Nature | Collecte via l'API Shopify, stockage, agrégation par période, transmission des agrégats, effacement. |
| Personnes concernées | Clients de la boutique du Marchand. |
| Données | Identifiant et numéro de commande, date, montant, TVA, devise, remboursements et annulations. Aucun nom, e-mail, téléphone ni adresse n'est collecté. |
| Durée | Tant que l'application est installée ; effacement 48 heures après la désinstallation. |
2. Instructions
Le Sous-traitant ne traite les données que sur instruction documentée du Responsable du traitement. Les CGU, le présent Accord et les réglages effectués dans l'application constituent ces instructions, notamment celle de transmettre les agrégats à la plateforme agréée que le Marchand a connectée. Si une instruction lui paraît contraire au RGPD, le Sous-traitant en informe immédiatement le Marchand.
3. Confidentialité
Seules les personnes qui en ont besoin pour fournir le service accèdent aux données ; elles sont tenues à la confidentialité.
4. Sécurité
Le Sous-traitant met en œuvre des mesures adaptées au risque (article 32 du RGPD), notamment :
- minimisation : seuls les montants des commandes sont conservés ;
- chiffrement des échanges (HTTPS/TLS) et de la base de données au repos ;
- vérification de la signature de chaque message reçu de Shopify ;
- accès restreint et authentifié aux systèmes de production.
5. Sous-traitants ultérieurs
Le Marchand autorise le recours aux sous-traitants ultérieurs suivants :
| Prestataire | Rôle |
|---|---|
| Fly.io | Hébergement du serveur de l'application (région Paris) |
| Neon | Hébergement de la base de données |
| Brevo | Envoi des e-mails d'alerte au Marchand (ne reçoit pas les données des clients) |
La plateforme agréée (Super PDP) n'est pas un sous-traitant ultérieur : le Marchand contracte directement avec elle, et le Sous-traitant lui transmet les données sur instruction du Marchand. Le Sous-traitant informe le Marchand de tout ajout ou remplacement de sous-traitant ultérieur au moins 30 jours à l'avance ; le Marchand peut s'y opposer en résiliant les CGU. Le Sous-traitant impose à ses sous-traitants ultérieurs des obligations de protection équivalentes.
6. Transferts hors de l'Union européenne
Fly.io et Neon sont des sociétés établies aux États-Unis. Tout transfert de données hors de l'Union européenne est encadré par les clauses contractuelles types de la Commission européenne figurant dans leurs accords de traitement des données.
7. Droits des personnes concernées
Le Sous-traitant aide le Marchand à répondre aux demandes d'exercice de droits. Les demandes d'accès et d'effacement transmises par Shopify sont traitées automatiquement ; le Sous-traitant ne détenant aucun identifiant de client, il n'a aucune donnée à rattacher à une personne donnée. Toute demande reçue directement d'une personne concernée est transmise au Marchand.
8. Violation de données
Le Sous-traitant notifie au Marchand toute violation de données personnelles dans les meilleurs délais et au plus tard 48 heures après en avoir pris connaissance, avec les informations disponibles pour permettre au Marchand de remplir ses propres obligations de notification.
9. Assistance et audit
Le Sous-traitant aide le Marchand, dans la mesure du possible, pour ses analyses d'impact et la consultation de l'autorité de contrôle. Il met à sa disposition les informations nécessaires pour démontrer le respect du présent Accord. Le Marchand peut réaliser un audit, à ses frais, au plus une fois par an, moyennant un préavis de 30 jours et un engagement de confidentialité.
10. Fin du traitement
Les données sont effacées 48 heures après la désinstallation de l'application, sur notification de Shopify. Avant de désinstaller, le Marchand peut demander par e-mail un export de ses données.
11. Registre
Le Sous-traitant tient un registre des traitements effectués pour le compte de ses clients (article 30.2 du RGPD).